漏洞披露计划

测试范围

请仅测试以下内容：

• 我们的网站 talismanleads.io 及其子域名，包括登录、账户、计费和免费工具页面。
• 我们的 Telegram 机器人 @TalismanLeadsV1bot。
• 网站自身的 API（从您自己的账户访问时）。

如果您不确定某项内容是否属于我们，请在测试前先询问我们。

不在范围内的内容

请不要提交有关以下内容的报告：

• 由其他公司运营的服务，例如 Telegram、Cloudflare、支付网络和在线聊天小部件。请将相关问题报告给其所有者。
• 其他客户的账户和数据。
• 我们的检测器和免费工具本身设计要做的事情，例如显示某个号码或电子邮件地址是否拥有账户。
• 在注册、登录或密码重置页面上，某个电子邮件地址或用户名是否已在我们这里注册。
• 缺失或薄弱的电子邮件记录（SPF、DKIM、DMARC、BIMI）、DNSSEC 或 CAA 记录，以及相似域名。
• 缺少安全标头（CSP、HSTS、X-Frame-Options 等）、Cookie 标志以及 SSL/TLS 设置（例如加密套件选择），除非您能演示可行的攻击。
• 软件名称和版本号、服务器横幅，以及 robots.txt、站点地图或 security.txt 等公开文件。
• 本就应当公开的密钥，例如页面源代码中的 CAPTCHA、分析和浏览器客户端密钥。
• 不涉及敏感操作页面上的 self-XSS、点击劫持或 CSRF，注销 CSRF，没有进一步影响的开放重定向，tabnabbing，以及不会运行脚本的文本注入。
• 公开页面和表单上的速率限制，包括电子邮件或注册轰炸，除非它们能让他人接管账户或花费资金。
• 密码规则、会话时长，以及双因素认证为可选或未提供。
• 需要物理访问、已 root 或越狱的设备、过时的浏览器，或受害者已被入侵才能实施的攻击。
• 网络钓鱼、社会工程和拒绝服务。
• 来自其他网站数据泄露的密码和其他数据，除非它们在我们的网站上有效。
• 没有可行验证的自动扫描器或 AI 工具输出，以及没有安全影响的最佳实践建议。
• 没有安全影响的错误，以及有关您的账户或计费的问题。此类问题请使用联系页面。

对于此类报告，我们可能会直接关闭而不予回复。

如何安全地测试

• 只使用您自己创建的账户，并且只使用您拥有或已获准使用的号码和电子邮件地址。
• 不要读取、更改或删除不属于您的数据。如果您接触到他人的数据，请立即停止，不要保留副本，并告知我们。
• 不要进行拒绝服务测试、大量提交表单、发送垃圾信息或拖慢他人使用的服务。
• 不要试图欺骗我们的员工或客户，也不要尝试物理攻击。
• 如果某个问题让您获得了余额或付费服务，请仅使用证明该问题所需的最低限度，并告知我们，以便我们撤销。
• 在问题修复且我们就披露事宜达成一致之前，请对该问题保密。

报告应包含的内容

• 问题是什么，以及攻击者可以利用它做什么。
• 受影响的页面、API 路由或机器人命令。
• 重现问题的步骤，并附上屏幕截图或概念验证。
• 如何联系您，以及您希望我们致谢时使用的姓名（如有）。

请不要在报告中包含他人的个人数据。

您可以从我们这里得到什么

• 我们会在 5 个工作日内确认收到属于范围内的报告。
• 我们会核查问题，并告知您我们能否重现以及下一步如何处理。
• 在处理期间，我们会向您通报进展，并在修复后告知您。
• 如果您愿意，我们会在介绍此次修复时向您致谢。

安全港条款

如果您本着善意行事并遵守本政策，我们将视您的研究为已获授权。我们不会因此对您采取法律行动，也不会因此向有关当局举报您。如果其他人因此对您采取行动，我们将明确说明您是依照本政策行事的。

本条款仅适用于 TalismanLeads 自身的系统。我们无法授权对其他任何人系统的测试。如果您不确定某项行为是否被允许，请先询问我们。

公开披露

在发布与问题相关的任何内容之前，请给我们合理的修复时间。我们力争在 90 天内解决已确认的问题，并会与您商定日期。有些问题需要更长时间，如果您报告的问题属于这种情况，我们会告知您。

奖励

这是漏洞披露计划，不是漏洞赏金计划，因此我们不为报告付费。我们感谢您的帮助，并乐于为此向您致谢。在提供详情之前就要求付款的报告将被直接关闭，不予回复。

问题修复后，我们还可能将您的姓名及您发现的问题列入我们的名人堂。只有在获得您的许可后，我们才会列出您的姓名，您也可以随时要求我们删除您的条目。